Due vulnerabilità critiche nella sicurezza della piattaforma Hugging Face AI hanno aperto la porta agli aggressori che cercavano di accedere e alterare i dati e i modelli dei clienti.

Uno dei punti deboli della sicurezza ha fornito agli aggressori un modo per accedere ai modelli di machine learning (ML) appartenenti ad altri clienti sulla piattaforma Hugging Face, mentre il secondo ha consentito loro di sovrascrivere tutte le immagini in un registro di contenitori condiviso. Entrambi i difetti, scoperti dai ricercatori di Wiz, avevano a che fare con la capacità degli aggressori di impossessarsi di parti dell'infrastruttura di inferenza di Hugging Face.

I ricercatori di Wiz hanno riscontrato punti deboli in tre componenti specifici: l'API di inferenza di Hugging Face, che consente agli utenti di navigare e interagire con i modelli disponibili sulla piattaforma; Endpoint di inferenza di Hugging Face: o infrastruttura dedicata per l'implementazione di modelli di intelligenza artificiale in produzione; e Hugging Face Spaces, un servizio di hosting per mostrare applicazioni AI/ML o per lavorare in modo collaborativo sullo sviluppo di modelli.

Il problema con il sottaceto

Esaminando l'infrastruttura di Hugging Face e i modi per sfruttare come armi i bug scoperti, i ricercatori di Wiz hanno scoperto che chiunque poteva facilmente caricare un modello AI/ML sulla piattaforma, compresi quelli basati sul formato Pickle. Salamoia è un modulo ampiamente utilizzato per archiviare oggetti Python in un file. Sebbene anche la stessa Python Software Foundation abbia considerato Pickle insicuro, rimane popolare per la sua facilità d'uso e la familiarità che le persone hanno con esso.

"È relativamente semplice creare un modello PyTorch (Pickle) che eseguirà codice arbitrario al momento del caricamento", secondo Wiz.

I ricercatori di Wiz hanno approfittato della possibilità di caricare un modello privato basato su Pickle su Hugging Face che eseguiva una shell inversa al caricamento. Hanno quindi interagito con esso utilizzando l'API Inference per ottenere funzionalità simili a shell, che i ricercatori hanno utilizzato per esplorare il loro ambiente sull'infrastruttura di Hugging Face.

Questo esercizio ha mostrato rapidamente ai ricercatori che il loro modello era in esecuzione in un pod in un cluster su Amazon Elastic Kubernetes Service (EKS). Da lì i ricercatori sono stati in grado di sfruttare le comuni configurazioni errate per estrarre informazioni che hanno permesso loro di acquisire i privilegi richiesti per visualizzare i segreti che avrebbero potuto consentire loro di accedere ad altri inquilini sull'infrastruttura condivisa.

Con Hugging Face Spaces, Wiz ha scoperto che un utente malintenzionato potrebbe eseguire codice arbitrario durante la fase di creazione dell'applicazione che gli consentirebbe di esaminare le connessioni di rete dal proprio computer. La loro analisi ha evidenziato una connessione a un registro contenitori condiviso contenente immagini appartenenti ad altri clienti che avrebbero potuto manomettere.

"Nelle mani sbagliate, la capacità di scrivere nel registro dei contenitori interno potrebbe avere implicazioni significative per l'integrità della piattaforma e portare ad attacchi della catena di fornitura agli spazi dei clienti", ha affermato Wiz.

Ha detto il viso che abbraccia aveva completamente mitigato i rischi che Wiz aveva scoperto. La società nel frattempo ha identificato che i problemi hanno a che fare almeno in parte con la sua decisione di continuare a consentire l'uso dei file Pickle sulla piattaforma Hugging Face, nonostante i suddetti rischi per la sicurezza ben documentati associati a tali file.  

"I file Pickle sono stati al centro della maggior parte delle ricerche condotte da Wiz e di altre recenti pubblicazioni di ricercatori di sicurezza su Hugging Face", ha osservato la società. Consentire l'uso di Pickle su Hugging Face è "un onere per i nostri team di ingegneria e sicurezza e abbiamo compiuto sforzi significativi per mitigare i rischi consentendo alla comunità AI di utilizzare gli strumenti che scelgono".

Rischi emergenti con l’AI-as-a-Service

Wiz ha descritto la sua scoperta come indicativo dei rischi di cui le organizzazioni devono essere consapevoli quando utilizzano un’infrastruttura condivisa per ospitare, eseguire e sviluppare nuovi modelli e applicazioni di intelligenza artificiale, che sta diventando noto come “AI-as-a-service”. L’azienda ha paragonato i rischi e le mitigazioni associate a quelli che le organizzazioni incontrano negli ambienti cloud pubblici e ha raccomandato di applicare le stesse mitigazioni anche negli ambienti AI.

"Le organizzazioni dovrebbero garantire di avere visibilità e governance dell'intero stack di intelligenza artificiale utilizzato e analizzare attentamente tutti i rischi", ha affermato Wiz in un blog questa settimana. Ciò include l'analisi dell'utilizzo di modelli dannosi, esposizione dei dati di addestramento, dati sensibili in formazione, vulnerabilità negli SDK AI, nell’esposizione dei servizi AI e in altre combinazioni di rischi tossici che potrebbero essere sfruttate dagli aggressori”, ha affermato il fornitore di sicurezza.

Eric Schwake, direttore della strategia di sicurezza informatica presso Salt Security, afferma che ci sono due questioni principali legate all’uso dell’intelligenza artificiale come servizio di cui le organizzazioni devono essere consapevoli. “In primo luogo, gli autori delle minacce possono caricare modelli di intelligenza artificiale dannosi o sfruttare le vulnerabilità nello stack di inferenza per rubare dati o manipolare i risultati”, afferma. “In secondo luogo, gli autori malintenzionati possono tentare di compromettere i dati di addestramento, portando a risultati dell’IA distorti o imprecisi, comunemente noti come avvelenamento dei dati”.

Identificare questi problemi può essere difficile, soprattutto considerando la complessità dei modelli di intelligenza artificiale, afferma. Per aiutare a gestire parte di questo rischio, è importante che le organizzazioni comprendano come le loro app e i loro modelli di intelligenza artificiale interagiscono con l'API e trovino modi per proteggerlo. “Le organizzazioni potrebbero anche voler esplorare IA spiegabile (XAI) per contribuire a rendere i modelli di intelligenza artificiale più comprensibili", afferma Schwake, "e potrebbe aiutare a identificare e mitigare pregiudizi o rischi all'interno dei modelli di intelligenza artificiale".

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/cloud-security/critical-bugs-hugging-face-ai-platform-pickle